组策略进阶：映射盘、软件分发与排查 · 修改记录

 new file mode 100644
 @@ -0,0 +1,81 @@
+---
+tags: [组策略, GPO, Windows Server]
+order: 45
+---
+
+# 组策略进阶：映射盘、软件分发与排查
+
+## 场景
+
+基础组策略会用了，现在要：按部门映射不同盘符、批量装软件、快速定位「为什么没生效」。
+
+## 前置条件
+
+- 域环境，有创建 GPO 的权限
+- 软件是 MSI 格式（EXE 需要额外封装）
+- 知道目标 OU 和用户组
+
+## 配置
+
+### 按部门映射盘（用户配置 → 首选项）
+
+```text
+用户配置 → 首选项 → Windows 设置 → 驱动器映射
+  新建 → 映射驱动器
+    位置：\\fs01\finance
+    驱动器号：F
+    勾选「重新连接」
+    项目级目标：用户是 GRP-Finance 的成员
+```
+
+项目级目标是关键：**同一个 GPO 可以按组映射不同盘符**。
+
+### 软件分发（计算机配置 → 策略 → 软件安装）
+
+```text
+计算机配置 → 策略 → 软件设置 → 软件安装
+  新建 → 程序包 → 指向 \\fs01\software\app.msi
+    部署方式：已分配（自动装）
+```
+
+MSI 放在共享上，**必须给「Domain Computers」读权限**，否则装不上。
+
+### 安全基线（计算机配置 → 策略 → Windows 设置 → 安全设置）
+
+常用几项：
+
+- 账户：重命名 Administrator、禁用 Guest
+- 本地策略：审核登录事件
+- 用户权限：拒绝从网络访问这台计算机（针对 Guest）
+- 安全选项：禁用 SMBv1
+
+## 验证
+
+```powershell
+gpresult /h C:\temp\gpo.html      # 看某台机器实际应用了哪些策略
+gpresult /r /scope:user
+gpupdate /force
+```
+
+服务器端：
+
+```powershell
+Get-GPO -All | Where-Object { $_.GpoStatus -ne "AllSettingsEnabled" }
+Get-GPOReport -Name "映射盘" -ReportType Html -Path C:\temp\gpo.html
+```
+
+## 回滚
+
+```powershell
+# 禁用而不是删除，方便回退
+Set-GPO -Name "映射盘" -GpoStatus UserSettingsDisabled
+```
+
+## 坑
+
+- **改完不 `gpupdate` 就断言没生效**，客户端默认 90 分钟刷新一次。
+- 计算机策略要重启，用户策略重新登录才完全生效。
+- 软件分发要求 MSI 在共享上可读，且客户端能访问 `\\fs01`。
+- 项目级目标写错组名，策略静默不生效，`gpresult` 里看不到。
+- 多个 GPO 冲突时按「站点 → 域 → OU」的顺序，后者覆盖前者。
+- 组策略处理慢拖慢登录，多半是 `\\domain\SYSVOL` 访问慢，查 DNS 和网络。